Más allá del APY: Adiós a la confianza en cajas negras, revaluando la lógica de seguridad del staking de ETH

Los rendimientos del staking son solo el resultado; quién controla las claves de retiro, cómo funcionan los validadores, y si ETH depende de contratos inteligentes adicionales y estructuras de liquidez son cuestiones más importantes.

Escrito por: imToken

En el último tiempo, los incidentes de seguridad en la industria de las criptomonedas no han cesado (lectura recomendada: "De Binance a PHP2Shell: En la era de la IA, la línea de defensa de la seguridad web necesita ser redefinida").

Desde pérdidas de miles de millones en plataformas de intercambio, hasta ataques a cadenas de suministro de billeteras y proveedores de servicios de terceros, así como vulnerabilidades en contratos inteligentes y robos de activos en cadena, una serie de eventos nos recuerdan repetidamente: en el mundo de las criptomonedas, la seguridad de los activos no solo depende de la fiabilidad de la blockchain subyacente, sino también de quién custodia los activos, quién controla las claves, y cuántos eslabones de confianza existen en toda la cadena de servicios.

Para los poseedores de ETH, participar en el staking es igualmente relevante.

Ethereum ha establecido un mecanismo de staking nativo relativamente maduro, donde los usuarios pueden convertirse en validadores de la red al stakear ETH, obteniendo recompensas del protocolo mientras mantienen la seguridad de la red. Sin embargo, a medida que el staking se ha desarrollado en diversas formas de participación, como el custodia por exchanges, staking líquido y servicios de nodos profesionales, ha surgido una cuestión que a menudo se pasa por alto:

A pesar de que se stakea ETH, el control de los activos y los límites de seguridad detrás de diferentes esquemas pueden ser completamente diferentes.

Si se entrega ETH a un tercero, ¿quién tiene realmente el derecho de retiro? Si un proveedor de servicios profesional opera el validador, ¿puede el usuario aún controlar su capital? Y entre el staking nativo y el staking líquido, ¿qué riesgos potenciales adicionales surgen?

Aclarar estas cuestiones puede ser más importante que simplemente comparar el APY de diferentes productos de staking.

I. La primera línea de defensa de la seguridad del staking: ¿quién controla el derecho de retiro de los activos?

Para entender el mecanismo de seguridad del staking de ETH, primero es necesario aclarar quién controla los nodos validadores de Ethereum.

Ethereum utiliza un mecanismo de consenso de prueba de participación (PoS), donde los usuarios depositan al menos 32 ETH en un contrato de depósito para activar un nodo validador, participando en la propuesta de bloques, la validación de transacciones y la prueba de consenso, y recibiendo recompensas según las reglas de la red.

Pero un nodo validador no está controlado por una única clave; en el sistema de staking de Ethereum, los permisos clave se dividen en dos categorías:

• Clave de firma (Signing Key): utilizada para la operación diaria del nodo validador, incluyendo la presentación de propuestas de bloques y la validación de pruebas, es el permiso operativo para participar en el consenso de la red;
• Clave de retiro (Withdrawal Key): utilizada para controlar la propiedad del capital y las ganancias del staking, determina a qué dirección específica (generalmente vinculada directamente a la billetera autogestionada del usuario) se devolverán finalmente los fondos, representando el control final de los activos;

Las responsabilidades de ambas son muy claras: la clave de firma determina si el validador puede trabajar normalmente, mientras que la clave de retiro decide quién puede finalmente retirar el dinero, lo que significa que la persona que opera el validador no necesariamente necesita tener el control final de los activos.

Entender esta división de permisos permite ver la diferencia esencial entre los modelos de custodia y no custodia:

• En el staking completamente custodiado, ambos tipos de permisos suelen concentrarse en la plataforma. Los usuarios depositan ETH en una plataforma de intercambio o en una entidad de custodia, que es responsable tanto de la operación del nodo como del control de los derechos de retiro. Lo que los usuarios ven en la interfaz es solo un saldo contable; la capacidad de retirar los activos depende directamente de la gestión de fondos, las reglas de retiro y la situación financiera de la plataforma;
• En el modelo de staking no custodiado, los permisos se aíslan físicamente. Los usuarios controlan los derechos de retiro a través de su propia billetera, mientras que el proveedor de servicios solo posee la clave de firma y es responsable del mantenimiento diario del nodo. Incluso si el proveedor asume el complicado mantenimiento de hardware y red, no puede transferir el capital del usuario con solo tener permisos operativos;

Este diseño de "derecho de retiro para el usuario, derecho operativo para el proveedor" tiene un valor central en minimizar la frontera de confianza: los usuarios no necesitan ceder el control del capital ni asumir los altos costos de operación del nodo.

Por supuesto, el no custodiado no significa cero riesgos.

La clave de firma sigue siendo crucial para el rendimiento diario del validador; si el proveedor sufre una filtración de claves, firma doble o una caída severa, el validador aún puede enfrentar sanciones a nivel de protocolo.

Por lo tanto, el primer paso para evaluar un esquema de staking es ver si ha aislado estrictamente los derechos de retiro de los derechos operativos, y si el usuario realmente tiene la llave para recuperar sus activos.

II. El protocolo nativo de Ethereum, ¿cómo protege los activos del staking?

Entendiendo el control de claves, otra cuestión clave es: ¿por qué participar directamente en el staking nativo de Ethereum es claramente superior en estructura de seguridad a los diversos productos de staking derivados de terceros?

La clave está en que el staking nativo de ETH se construye directamente sobre el protocolo de consenso subyacente de Ethereum, sin necesidad de capas intermedias adicionales.

Cuando los usuarios participan en el staking nativo, ETH entra directamente en el sistema de validadores oficial de Ethereum, y la distribución de ganancias y las sanciones por incumplimiento son ejecutadas automáticamente por el código del protocolo subyacente.

No necesita depender de un fondo de terceros para reunir activos, ni necesita emitir un token derivado (como LST) para mapear indirectamente los derechos de staking, eliminando así desde la raíz los riesgos compuestos derivados de contratos de protocolos de terceros, gobernanza entre capas y desvinculación de productos derivados.

Hasta la fecha, dentro del protocolo nativo, Ethereum también ha establecido límites claros de seguridad y salida a través de tres mecanismos.

Primero, el protocolo restringe el comportamiento de los validadores a través de recompensas y sanciones.

Los validadores deben estar en línea continuamente, presentar propuestas de bloques y pruebas de validación según lo requerido; si el nodo falla o está fuera de línea durante mucho tiempo, puede perder recompensas y sufrir sanciones en su saldo.

Si un validador comete un incumplimiento más grave, como firmar bloques en conflicto, puede activar el Slashing (mecanismo de confiscación), donde parte del ETH stakeado será destruido y el validador será forzado a salir de la red.

El propósito de este mecanismo es hacer que los participantes, al obtener ganancias del staking, también asuman responsabilidades correspondientes, de modo que cualquier intento de socavar el consenso de la red tenga un costo económico real.

En segundo lugar, los derechos de retiro y los derechos de operación del validador pueden ser independientes entre sí.

Este es un diseño muy importante del staking nativo en términos de seguridad de los activos; incluso si hay un problema con la clave de firma del validador, mientras la clave de retiro siga siendo custodiada de forma segura por el usuario, los atacantes no pueden simplemente usar la clave de firma para retirar el capital stakeado del usuario.

Ethereum perfeccionó aún más este mecanismo tras la actualización de Pectra, permitiendo que la dirección de retiro inicie directamente la operación de salida del validador, sin depender completamente de la clave de firma del validador, lo que otorga a los usuarios no custodiados una garantía de "retirar fondos forzosamente" en situaciones extremas.

Finalmente, la salida del staking nativo también está sujeta a las reglas del protocolo.

El staking nativo permite la extracción de recompensas y la salida total del capital, pero no se acredita instantáneamente como una transferencia de billetera normal. Después de que un validador inicia la salida, debe entrar en la cola de salida de toda la red según las reglas del protocolo (el tiempo de espera depende del número de validadores que están saliendo al mismo tiempo), y solo después de completar esto, el capital y las recompensas restantes se liquidarán automáticamente a la dirección de retiro vinculada (lectura recomendada: "¿Por qué hay que esperar un mes para participar en el staking nativo de Ethereum?").

Desde esta perspectiva, el valor del staking nativo no solo radica en obtener recompensas de ETH, sino en proporcionar un conjunto de garantías de liquidación subyacente completamente públicas, transparentes y verificables en la cadena, que no dependen de ninguna institución centralizada para su cumplimiento.

III. Comparación de cuatro esquemas principales: ¿dónde están los límites de seguridad de los diferentes modos de staking?

Al combinar "control de claves" y "dependencia del protocolo", actualmente las cuatro categorías principales de esquemas de staking de ETH en el mercado esencialmente colocan los riesgos en diferentes cestas.

1. Staking completamente custodiado (exchanges centralizados / entidades de custodia)

Los servicios de staking ofrecidos por exchanges y entidades de custodia suelen tener la menor barrera de entrada, apoyando staking de pequeñas cantidades y ofreciendo una experiencia de operación cercana a la gestión financiera tradicional, sin que los usuarios tengan que lidiar con operaciones técnicas complejas.

Sin embargo, al mismo tiempo, el control del capital se cede completamente a la plataforma; incluso si el ETH subyacente finalmente entra en el contrato de staking oficial de Ethereum, los usuarios aún deben asumir el riesgo crediticio de la plataforma, los riesgos de control interno y las restricciones de retiro en situaciones extremas.

2. Staking líquido (representado por protocolos LST como Lido)

Tomando como ejemplo protocolos de staking líquido como Lido, los usuarios depositan ETH y reciben LST que representa los derechos de staking, como stETH, lo que facilita la generación de ingresos secundarios en DeFi o la liquidación en el mercado secundario en cualquier momento.

La mayor ventaja de este tipo de esquemas es que reduce la barrera de entrada y permite a los usuarios participar en otras aplicaciones como DeFi durante el staking, pero el nivel de riesgo aumenta significativamente. Poseer LST no significa tener el derecho de retiro del validador, sino que se posee un certificado de deuda basado en contratos inteligentes.

Además del riesgo de penalización de nodos subyacentes, los usuarios también deben asumir el riesgo de vulnerabilidades en contratos inteligentes, el riesgo de gobernanza del protocolo, y el riesgo de descuento (desvinculación) en el mercado secundario de LST en situaciones extremas, así como el riesgo de corrida de redenciones, lo cual ya ha ocurrido varias veces en la historia de LST.

3. Staking nativo no custodiado (derecho de retiro autogestionado + operación profesional de nodos)

El staking nativo no custodiado intenta resolver la contradicción entre la autonomía de los activos y la operación de nodos.

Los usuarios participan en la red a través del mecanismo de staking nativo de Ethereum, controlando la clave de retiro, mientras que un proveedor de servicios profesional se encarga de la operación, monitoreo y mantenimiento del validador, lo que no requiere que los usuarios asuman el riesgo de desvinculación de tokens de staking líquido, y reduce los riesgos adicionales derivados de contratos inteligentes de pools de staking de terceros y mecanismos de gobernanza.

4. Staking independiente (Solo Staking)

Si los usuarios tienen suficiente ETH y habilidades técnicas, también pueden construir su propio nodo validador; en este caso, la clave de firma, la clave de retiro y el equipo del nodo son gestionados por el usuario, sin depender de proveedores de servicios de nodos de terceros.

Pero esto no significa que el riesgo sea el más bajo: fallos en el hardware del nodo, interrupciones de red, errores de configuración del cliente, copias de seguridad inadecuadas de claves, e incluso firmas duplicadas pueden causar pérdidas de ganancias o confiscaciones. Por lo tanto, para los usuarios comunes sin experiencia en mantenimiento de nodos a largo plazo, los costos técnicos y de mantenimiento también son una barrera.

En resumen, las diferencias de seguridad entre los diferentes modos pueden resumirse de la siguiente manera:

En conclusión, los diferentes modos de staking abordan diferentes necesidades de volumen de capital y tolerancia al riesgo. Para aquellos que valoran el control absoluto del capital y no desean gastar energía en mantener servidores, el "staking nativo no custodiado" es sin duda la solución de seguridad más adecuada.

En la práctica, este esquema también ofrece dos modos de nodos validadores: nodos de verificación de interés compuesto y nodos de verificación de retiro automático, permitiendo a los usuarios elegir diferentes métodos de gestión de capital:

• Nodos de verificación de interés compuesto: todas las recompensas generadas por el staking se reinvierten automáticamente en el saldo del validador, mejorando la eficiencia del interés compuesto a largo plazo (el límite de staking efectivo por nodo puede ampliarse hasta 2048 ETH);
• Nodos de verificación de retiro automático: el saldo efectivo del nodo validador se mantiene en 32 ETH, y las recompensas de staking en la capa de consenso que exceden esta cantidad se devolverán periódicamente y automáticamente a la dirección de retiro del usuario, sin necesidad de reclamaciones manuales, adecuado para usuarios con necesidades de flujo de efectivo periódico;

Por supuesto, elegir un modo no custodiado no significa que se pueda ser un "dueño despreocupado". Dado que el control final de los activos está completamente en manos del usuario, este aún debe cumplir con su responsabilidad de seguridad personal: respaldar adecuadamente las frases de recuperación de la billetera fuera de línea, verificar cuidadosamente la dirección de retiro antes de iniciar el staking, y tener un conocimiento claro de los mecanismos de cola de salida del protocolo de Ethereum, las tarifas de servicio y las posibles reglas de sanción subyacentes.

Reflexiones finales

A medida que más ETH ingresa a sistemas de generación de ingresos a largo plazo, como poseedores, lo que realmente necesitamos observar puede no ser solo cuánto rendimiento pueden generar nuestros activos, sino si, cuando cualquier eslabón de servicio externo enfrenta situaciones extremas, aún tengo el control final para recuperar mi capital.

Mantener el control final de los activos en nuestras manos, dejando a los profesionales encargarse de lo que saben hacer.

Este puede ser el valor de seguridad más digno de atención del staking nativo no custodiado.